Il nuovo approccio dell’EDPB alle sanzioni GDPR
L’EDPB, con le Linee guida 04/2026, adottate il 17 settembre 2026 per consultazione pubblica, interviene su un tema particolarmente rilevante per le organizzazioni: quando e in che misura un’infrazione al GDPR debba comportare una sanzione amministrativa
Le Linee guida sostituiscono le precedenti indicazioni del WP29 e completano le Linee guida EDPB 04/2022 relative al calcolo delle sanzioni.
Il documento precisa un principio importante: la violazione del GDPR non determina automaticamente l’applicazione di una sanzione pecuniaria. L’autorità deve effettuare una valutazione concreta della violazione e delle circostanze del caso, considerando anche gli altri poteri correttivi previsti dall’art. 58, par. 2, GDPR.
Per le organizzazioni, questo rafforza l’importanza di un approccio strutturato alla governance della privacy e alla gestione del rischio.
Sanzioni, responsabilità, accountability: la prospettiva GRC della metodologia in cinque passaggi
Le Linee guida EDPB 04/2026 introducono un percorso decisionale articolato in cinque step:
- 1. L’infrazione è soggetta a sanzione amministrativa?
- 2. Il titolare o il responsabile può essere sanzionato?
- 3. L’infrazione è intenzionale o negligente?
- 4. L’infrazione può essere considerata minore?
- 5. La sanzione sarebbe efficace, proporzionata e dissuasiva?
Questa struttura è particolarmente significativa perché sposta l’attenzione dalla semplice constatazione della violazione alla valutazione complessiva del rischio e della responsabilità dell’organizzazione.
1. Gravità, durata e contesto
Per stabilire se un’infrazione possa essere considerata minore, l’autorità deve considerare i fattori indicati dall’art. 83, par. 2, GDPR.
Tra gli elementi più rilevanti troviamo:
- natura e gravità della violazione;
- durata;
- natura e finalità del trattamento;
- numero di interessati coinvolti;
- livello del danno o del rischio;
- categorie di dati personali trattati;
- intenzionalità o negligenza;
- precedenti violazioni;
- livello di responsabilità dell’organizzazione;
- misure adottate per mitigare le conseguenze;
- grado di cooperazione con l’autorità.
Un punto importante è che la semplice appartenenza della violazione alle categorie dell’art. 83, paragrafi 4-6, non è sufficiente per qualificarla come non minore o automaticamente sanzionabile.
2. Il ruolo della remediation
Dal punto di vista GRC, uno degli aspetti più interessanti riguarda la capacità dell’organizzazione di reagire tempestivamente alla violazione.
Le misure di mitigazione possono assumere rilevanza nella valutazione dell’autorità, soprattutto quando vengono adottate rapidamente ed efficacemente.
La tempestività diventa quindi un elemento concreto di governance: identificare un problema, contenerlo, correggerlo e prevenirne la reiterazione può incidere sulla valutazione complessiva della condotta.
La differenza, in termini di compliance, non è quindi soltanto tra “errore commesso” e “errore non commesso”, ma anche tra organizzazione che reagisce in modo strutturato e organizzazione che non dimostra un adeguato controllo del rischio.
3. Responsabilità e accountability
Le Linee guida attribuiscono, poi, particolare importanza al grado di responsabilità del titolare o del responsabile. In pratica, dimostrare l’esistenza formale di misure tecniche e organizzative non basta: occorre poter dimostrare che tali misure erano adeguate rispetto alla natura, alle finalità e ai rischi del trattamento e che erano effettivamente implementate.
Ed è qui che emerge con forza il principio di accountability dell’art. 5, par. 2, GDPR; ne consegue che documentazione, registrazioni, evidenze di controllo, attività formative, valutazioni del rischio, decisioni del management e interazioni con il DPO possono diventare elementi fondamentali per dimostrare il livello di governo del rischio, ovvero il grado di compliance dell’intera organizzazione.
4. Precedenti violazioni e maturità organizzativa
Un ulteriore elemento significativo riguarda le precedenti violazioni e come la reiterazione di queste, soprattutto quando riguardano lo stesso ambito o evidenziano problematiche organizzative ricorrenti, possa essere considerata un elemento aggravante.
Questo introduce una prospettiva tipicamente GRC: una singola non conformità può rappresentare un evento isolato; la ripetizione dello stesso problema può invece indicare una debolezza strutturale del sistema di controllo interno. Anche la capacità dell’organizzazione di recepire le indicazioni del DPO e di trasformarle in azioni concrete assume quindi particolare rilevanza
5. La sanzione non è l’unico possibile esito
Il quinto step richiede di valutare se la sanzione sia efficace, proporzionata e dissuasiva.
Le Linee guida chiariscono che, nel caso di infrazioni minori, come regola generale non dovrebbe essere applicata una sanzione amministrativa. Tuttavia, l’autorità mantiene un margine di valutazione in funzione delle circostanze concrete.
Anche per violazioni non minori, la sanzione pecuniaria non rappresenta necessariamente l’unica risposta possibile: l’autorità può ricorrere agli altri poteri correttivi previsti dall’art. 58, par. 2, GDPR, quando questi risultino più appropriati e proporzionati.
Il sistema delineato dall’EDPB è quindi orientato alla proporzionalità della risposta rispetto alla violazione e alle circostanze del caso.
Governare il rischio privacy oltre la compliance
Le Linee guida EDPB 04/2026 delineano un approccio alla sanzionabilità delle violazioni GDPR fondato su una valutazione concreta, proporzionata e risk-based, nella quale la mera esistenza della violazione non esaurisce l’analisi dell’autorità di controllo. Natura e gravità dell’infrazione, durata, intenzionalità o negligenza, misure di mitigazione, grado di responsabilità, precedenti violazioni e capacità di cooperazione concorrono alla determinazione della risposta correttiva.
Dal punto di vista della Governance, Risk & Compliance, questo approccio rafforza ulteriormente il principio di accountability previsto dall’art. 5, par. 2, GDPR: non è sufficiente che l’organizzazione disponga di policy, procedure e controlli formalmente definiti; deve essere in grado di dimostrarne l’adeguatezza, l’effettiva implementazione e l’efficacia rispetto ai rischi concretamente presenti.
La compliance privacy assume quindi una dimensione dinamica. L’identificazione del rischio, la progettazione dei controlli, il monitoraggio della loro efficacia, la gestione degli incidenti, la remediation e la prevenzione delle recidive devono essere integrati all’interno di un sistema di controllo coerente e documentato.
In questa prospettiva, anche la gestione di una non conformità diventa un elemento di maturità del sistema GRC. Tempestività della risposta, adeguatezza delle misure correttive, tracciabilità delle decisioni e capacità di prevenire il ripetersi della violazione possono rappresentare elementi rilevanti nella valutazione complessiva della condotta dell’organizzazione.
Il vero cambio di prospettiva, pertanto, consiste nel passare da una logica di “compliance by documentation” a una logica di “compliance by evidence”: non soltanto dichiarare che il rischio privacy è governato, ma poter dimostrare, attraverso evidenze verificabili, che il sistema di governance e controllo è effettivamente operativo.
Per un’organizzazione, la domanda strategica non dovrebbe quindi limitarsi a “qual è il rischio di sanzione?”, ma estendersi a una questione più strutturale: “quanto è robusto, proporzionato e dimostrabile il nostro sistema di governo del rischio privacy?”
È proprio su questo terreno che il GDPR incontra il modello GRC: la protezione dei dati non è più soltanto una funzione specialistica di compliance, ma una componente del più ampio sistema di governance, gestione del rischio e controllo interno, nel quale responsabilità, processi, controlli ed evidenze devono essere coerentemente integrati.
Fonti e riferimenti normativi
Regolamento (UE) 2016/679 (GDPR) –artt. 5, 24, 25, 32, 58 e 83.
EDPB Guidelines 04/2026 – sull’applicazione del potere di imporre sanzioni amministrative in relazione agli altri poteri correttivi previsti dal GDPR..
EDPB Guidelines 04/2022 – sul calcolo delle sanzioni amministrative previste dal GDPR.
Regolamento (UE) 2025/2518 – relativo a ulteriori norme procedurali per l’applicazione del GDPR.
Corte di Giustizia dell’Unione Europea, sentenze C-807/21 (Deutsche Wohnen), C-683/21, C-768/21 (Land Hessen), C-383/23 e C-667/21.